Obsługa poufnej puli węzłów maszyn wirtualnych w usłudze AKS przy użyciu poufnych maszyn wirtualnych AMD SEV-SNP

Ważna

W przypadku typowych poufnych obciążeń AKS zacznij od tego modelu na poziomie maszyny wirtualnej. Aby poznać szersze opcje izolacji maszyn wirtualnych, zobacz sekcję Azure confidential VM options, w tym wskazówki dotyczące Intel TDX.

Usługa Azure Kubernetes Service (AKS) ułatwia wdrażanie zarządzanego klastra Kubernetes na platformie Azure. W usłudze AKS węzły tej samej konfiguracji są grupowane razem w pule węzłów. Te pule węzłów zawierają bazowe maszyny wirtualne, na których są uruchamiane aplikacje.

Usługa AKS obsługuje teraz poufne pule węzłów maszyn wirtualnych z poufnymi maszynami wirtualnymi platformy Azure. Te poufne maszyny wirtualne to ogólnie dostępne serie DCasv5 i ECasv5 z wykorzystaniem procesorów AMD EPYC™ 3 generacji z funkcjami bezpieczeństwa Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP). Aby dowiedzieć się więcej na temat tej oferty, zobacz ogłoszenie.

Świadczenia

Pule węzłów poufnych korzystają z maszyn wirtualnych z sprzętowym Zaufanym Środowiskiem Wykonawczym (TEE). AMD SEV-SNP poufne maszyny wirtualne blokują hipernadzorcy i innemu kodowi zarządzania hostem dostęp do pamięci i stanu VM. Dodają one wielowarstwowe zabezpieczenia przed dostępem operatora.

Oprócz wzmocnionego profilu zabezpieczeń poufne pule węzłów w usłudze AKS umożliwiają również:

  • Lift and shift z pełnym wsparciem funkcji AKS, umożliwiając płynną migrację obciążeń kontenerowych Linuksa
  • Niejednorodne pule węzłów umożliwiające przechowywanie wrażliwych danych w puli węzłów TEE na poziomie VM, z kluczami szyfrowania pamięci generowanymi z samego chipsetu
  • Kryptograficznie poświadcz, że Twój kod działa na sprzęcie AMD SEV-SNP korzystając z aplikacji generującej raport poświadczeń sprzętowych.

Grafika przedstawiająca węzły maszyn wirtualnych w usłudze AKS z zaszyfrowanym kodem i danymi w poufnych pulach węzłów maszyny wirtualnej 1 i 2 oprócz funkcji hypervisor

Zacznij i dodaj pule węzłów poufnych do istniejącego klastra AKS, korzystając z tego szybkiego poradnika.

Pytania?

Jeśli masz pytania dotyczące ofert dotyczących kontenerów, skontaktuj się z acconaks@microsoft.com.

Następne kroki

  • Ostatnia aktualizacja o